PHP2Shell: Was die kritische PHP-Lücke für Ihre Website bedeutet

Seit dem 20. Oktober ist in den Nachrichten von „PHP2Shell“ die Rede. Städte, Kliniken und Hochschulen haben ihre Websites vorsorglich abgeschaltet, das BSI verlangt, unverzüglich zu handeln. Für Sie als Betreiber einer Firmenwebsite zählen vor allem zwei Fragen: Bin ich betroffen – und wer kümmert sich darum?

Stand dieses Beitrags: 23. Oktober 2026.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP, der Programmiersprache, mit der laut W3Techs rund 70 Prozent der Websites auf dem Server arbeiten, deren Technik sich erkennen lässt. Über die Lücken können Angreifer ohne Anmeldung und ohne Zutun eines Nutzers eigenen Code auf dem Webserver ausführen. Im ungünstigsten Fall genügt dafür eine einzige präparierte Anfrage.

Die Kennungen lauten CVE-2026-109618 und CVE-2026-109619, beide sind mit 9,2 von 10 Punkten bewertet. Das BSI hat eine Warnung der Stufe 3 von 4 herausgegeben, „Orange“: Maßnahmen müssen unverzüglich ergriffen werden. Der Name lehnt sich an „Log4Shell“ an, eine Lücke von 2021, die ebenfalls auf einen Schlag Millionen Systeme betraf.

Gefunden haben die Lücken Sicherheitsforscher, unter anderem mithilfe von KI. Details gelangten am 20. Oktober vorzeitig an die Öffentlichkeit. Das PHP-Projekt zog seine Updates daraufhin um einen Tag vor und veröffentlichte sie am Nachmittag des 21. Oktober.

Ist meine Website betroffen?

Betroffen ist jede Website, die auf einem Server mit PHP läuft – so lange, bis PHP dort aktualisiert ist. Laut BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar, unabhängig davon, wie PHP auf dem Server eingebunden ist.

Auf PHP laufen unter anderem WordPress, TYPO3, Joomla, Drupal, Contao, Shopware und Magento, dazu viele individuell programmierte Websites und Kundenportale. Ist Ihre Website mit einem dieser Systeme gebaut, lautet die Frage nicht mehr „ob“, sondern nur noch: Ist der Server schon aktualisiert?

Bei Baukastensystemen, in denen Sie Ihre Website direkt beim Anbieter im Browser bearbeiten, betreibt der Anbieter auch die Technik dahinter. Dort können und müssen Sie selbst nichts aktualisieren. Im Zweifel gibt die Status- oder Hilfeseite des Anbieters Auskunft.

Wie finde ich heraus, welche PHP-Version meine Website nutzt?

In WordPress steht sie unter „Werkzeuge“ → „Website-Zustand“ → „Bericht“ → „Server“. Bei anderen Systemen finden Sie die Version im Kundenmenü Ihres Hosters, meist unter einem Punkt wie „PHP-Einstellungen“.

Die Nummer allein beweist allerdings wenig. Hoster und Linux-Distributionen bauen Sicherheitskorrekturen oft in ihre eigenen PHP-Pakete ein, ohne dass sich die angezeigte Version ändert. Eine ältere Nummer kann also abgesichert sein, eine der unten genannten ist es sicher. Verbindlich ist nur die Auskunft dessen, der den Server betreibt.

Betrifft das nur Websites?

Nein. PHP steckt auch in den Bedienoberflächen vieler Geräte. Das BSI nennt unter anderem Netzwerkspeicher von Synology und QNAP sowie die Firewalls pfSense und OPNsense als zumindest teilweise betroffen. Wer im Büro einen Netzwerkspeicher oder eine Firewall betreibt, deren Oberfläche aus dem Internet erreichbar ist, sollte beim Hersteller nach einem Update sehen.

Welche PHP-Versionen schließen die Lücke?

Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie alle späteren Versionen dieser Reihen. Für ältere Reihen gibt es keine offiziellen Updates mehr:

Wer noch PHP 8.1 oder älter einsetzt, hat ein Problem, das über diese Lücke hinausgeht: Diese Versionen bekommen vom PHP-Projekt grundsätzlich keine Sicherheitsupdates mehr. Das BSI rät, solche Anwendungen auf eine noch unterstützte Version umzustellen. Bei einer älteren WordPress-Installation mit vielen Plugins ist das selten ein einzelner Klick – vorher sichern und testen. Ob sich der Umbau noch lohnt, beschreibt unser Beitrag Website neu bauen oder überarbeiten?

Reicht es, WordPress und die Plugins zu aktualisieren?

Nein. Die Lücken stecken in PHP selbst, also in der Software auf dem Server – nicht in WordPress und nicht in einem Plugin. Das BSI schreibt ausdrücklich, ein Update der Anwendungen sei nicht ausreichend, die PHP-Laufzeitumgebung darunter müsse ebenfalls aktualisiert werden. WordPress aktuell zu halten bleibt trotzdem richtig. Nur schließt es diese Lücke nicht.

Wer muss das Update einspielen?

Das hängt davon ab, wo Ihre Website liegt.

Beim Shared Hosting, also einem Paket bei einem Hoster, bei dem Sie sich den Server mit anderen Kunden teilen, spielt der Hoster das Update ein. Selbst können Sie PHP dort nicht aktualisieren. Viele Hoster haben ihre Server nach eigenen Angaben schon am 21. und 22. Oktober abgesichert. Verlassen Sie sich trotzdem nicht auf Vermutungen: Ein Blick auf die Statusseite oder eine kurze Nachfrage beim Support klärt es. Läuft Ihre Website im Kundenmenü noch auf PHP 7.4 oder 8.1, stellen Sie sie auf eine unterstützte Version um.

Bei einem eigenen oder gemieteten Server ist zuständig, wer ihn betreibt: Ihre IT, Ihre Agentur oder ein Dienstleister. Dort müssen die PHP-Pakete aktualisiert, alle PHP-Prozesse neu gestartet und Container mit PHP neu gebaut werden.

Ein häufiges Problem in solchen Lagen: Jeder denkt, der andere kümmert sich. Die Agentur hat die Website gebaut, der Hoster stellt den Server, und wer Updates einspielt, wurde nie festgelegt. Wenn Sie nicht sicher sind, wer die Zugangsdaten zu Hosting und Server hat, hilft unser Beitrag Wem gehört die Website?

Wie gefährlich ist die Lücke gerade?

Angriffsversuche gibt es, bestätigte Einbrüche in der Breite bisher nicht. Amazon hat einen ersten Versuch bereits am 17. Oktober beobachtet, vier Tage vor den Updates. Seit dem 21. Oktober melden Cloudflare und mehrere Sicherheitsfirmen automatisierte Angriffsversuche. Dem BSI lagen am 22. Oktober keine bestätigten Meldungen über erfolgreich angegriffene Systeme aus der regulierten Wirtschaft oder der Bundesverwaltung vor.

Entwarnung ist das nicht. Das BSI rechnet mit einer kurzfristigen Ausnutzung verwundbarer Systeme, und solche Angriffe laufen automatisiert: Programme durchsuchen das Internet nach ungepatchten Servern, ohne zu fragen, ob dahinter ein Konzern oder ein Handwerksbetrieb steht. Berichte, die Updates ließen sich umgehen, hat das BSI inzwischen als widerlegt eingestuft. Wer aktualisiert hat, ist gegen diese beiden Lücken geschützt.

Was können Angreifer anrichten?

Wer Code auf Ihrem Server ausführen kann, kann dort im Rahmen der Rechte des Webservers fast alles. Für eine Firmenwebsite heißt das:

Daten abgreifen. Anfragen aus Kontaktformularen, Kundendaten und Bestellungen aus einem Shop, dazu Zugangsdaten, die in Konfigurationsdateien liegen – etwa das Passwort der Datenbank oder Schlüssel für E-Mail-Versand und Zahlungsdienste.

Die Website verändern. Eingeschleuste Spam-Seiten, Weiterleitungen auf Betrugsseiten, Schadcode für Besucher. Browser und Google warnen dann vor Ihrer Seite. Der Schaden für Vertrauen und Auffindbarkeit hält länger an als der Angriff.

Den Server missbrauchen. Für Spam-Versand, als Rechenleistung für fremde Zwecke oder als Ausgangspunkt weiterer Angriffe. Landet der Server dadurch auf Sperrlisten, kommen auch Ihre eigenen E-Mails nicht mehr an, wenn sie über ihn laufen.

Eine Hintertür hinterlassen. Für einen späteren Angriff oder eine Erpressung. Sie bleibt auch nach dem Update bestehen.

Werden dabei personenbezogene Daten abgegriffen, muss das in der Regel innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Datenschutzbehörde gemeldet werden (Art. 33 DSGVO). Ob im Einzelfall eine Meldung nötig ist, klären Sie mit Ihrer Datenschutzberatung.

Muss ich meine Website vom Netz nehmen?

Nur, wenn sie nicht zeitnah abgesichert werden kann. Das BSI empfiehlt, eine vorübergehende Trennung vom Internet zu erwägen, wenn Updates nicht umgehend eingespielt werden können – etwa weil eine sehr alte PHP-Version läuft oder niemand erreichbar ist, der Zugriff auf den Server hat. Hat Ihr Hoster oder Dienstleister das Update bestätigt, ist das nicht nötig.

Die Behelfseinstellungen, die das PHP-Projekt für die Zwischenzeit nennt, machen eine Installation nach dessen eigener Aussage nicht sicher. Ähnlich ist es mit Firewalls für Webanwendungen: Anbieter wie Cloudflare haben Regeln gegen die bekannten Angriffswege ausgerollt, die Angriffe erschweren. Vollständig schützen nach Einschätzung des BSI nur das Update oder die Trennung vom Netz.

Ein Tag ohne Website ist ärgerlich. Ein übernommener Server, über den Kundendaten abfließen, kostet mehr.

Woran erkenne ich, ob meine Website schon angegriffen wurde?

Sicher lässt sich das nur mit einem Blick auf den Server klären. Ein Update schließt die Lücke, entfernt aber nichts, was ein Angreifer vorher hinterlassen hat. Weil erste Versuche schon am 17. Oktober beobachtet wurden, empfiehlt Amazon, ab diesem Datum zu prüfen.

Ohne technische Kenntnisse fallen vor allem diese Zeichen auf: Administratorkonten in WordPress, die niemand angelegt hat. Seiten oder Weiterleitungen, die Sie nicht kennen. Fremde Inhalte, wenn Sie bei Google „site:“ und direkt dahinter Ihre Domain eingeben. Eine Warnung im Browser oder in der Google Search Console. Eine Nachricht Ihres Hosters über Spam-Versand oder ungewöhnliche Last.

Wer den Server betreut, sollte zusätzlich auf die Anzeichen achten, die das BSI nennt: Programme, die der Webserver startet und die dort nichts zu suchen haben, etwa Kommandozeilen oder Download-Werkzeuge. Neu angelegte oder veränderte PHP-Dateien. Auffällige Upload-Anfragen, gefolgt von Speicherfehlern oder gehäuften Serverfehlern.

Bei einem Verdacht gehört die Website vom Netz und der Server in die Hände von jemandem, der so etwas regelmäßig untersucht. Danach wird bereinigt oder aus einer sauberen Sicherung wiederhergestellt, und alle Zugangsdaten werden geändert – Hosting, Datenbank, WordPress und E-Mail.

Was Sie jetzt tun sollten

1. Klären, ob Ihre Website auf PHP läuft. Bei WordPress, TYPO3, Joomla, Shopware und ähnlichen Systemen ist die Antwort ja.
2. Klären, wer zuständig ist – Hoster, Agentur oder IT-Dienstleister – und ob Sie selbst die Zugangsdaten haben.
3. Das Update schriftlich bestätigen lassen. Eine kurze Mail genügt: „Ist PHP auf unserem Server gegen CVE-2026-109618 und CVE-2026-109619 abgesichert?“
4. Alte PHP-Versionen ablösen. Läuft noch 8.1 oder älter, auf eine unterstützte Reihe umstellen, vorher sichern und testen.
5. Auf Spuren achten und im Zweifel prüfen lassen.
6. Geräte nicht vergessen: Netzwerkspeicher, Firewalls und Router mit Bedienoberfläche im Internet.

Wie wir damit umgehen

Die Websites, die wir bauen, kommen ohne PHP aus – weder WordPress noch ein anderes PHP-System liegt darunter. Von PHP2Shell sind sie deshalb nicht betroffen. Weniger Software auf dem Server heißt auch: weniger, was bei der nächsten Lücke in Eile aktualisiert werden muss.

Wenn Sie nicht sicher sind, wie Ihre eigene Website dasteht, sehen wir sie uns an. Im Sicherheitscheck prüfen wir Server, System und PHP-Version und schicken Ihnen das Ergebnis innerhalb von 24 Stunden, kostenlos und ohne Verpflichtung. Wer Updates, Sicherungen und Überwachung dauerhaft abgeben möchte, findet das in unserer laufenden Website-Betreuung.

Dieser Beitrag gibt den Stand vom 23. Oktober 2026 wieder und ersetzt keine Sicherheits- oder Rechtsberatung im Einzelfall.